Numer karty płatniczej to zwykle 16 cyfr na przodzie karty (w nowszych, pionowych kartach często na rewersie, a w części kart wyłącznie w aplikacji banku). Obok niego na karcie są data ważności, imię i nazwisko oraz – na odwrocie – 3-cyfrowy kod CVV2/CVC2. Poniżej wyjaśniam, gdzie szukać każdej z tych informacji, co da się z karty odczytać (także zbliżeniowo) i jak tych danych pilnować.
W skrócie
- Numer karty (zwykle 16 cyfr) jest na przodzie albo na rewersie karty, a zawsze – w aplikacji banku, w szczegółach karty.
- Kod CVV2/CVC2 to 3 cyfry na odwrocie (w American Express – 4 cyfry na przodzie). PIN-u na karcie nie ma.
- Zbliżeniowo da się odczytać numer i datę ważności, ale nie CVV2 ani PIN, a tak odczytanych danych nie użyjesz do płatności w sklepie.
- Najlepsza ochrona: nie pokazywać rewersu, płacić telefonem (tokenizacja), włączyć powiadomienia z banku i zastrzec kartę od razu po utracie.
Gdzie jest numer karty płatniczej?
Na klasycznej, poziomej karcie numer jest na przodzie, pod chipem, w czterech grupach po cztery cyfry. Coraz więcej banków wydaje karty pionowe, na których przód jest pusty, a numer, data ważności i CVV są na rewersie. Są też karty zupełnie bez nadrukowanych danych – wtedy numer znajdziesz tylko w aplikacji.
Nie ma znaczenia, czy szukasz numeru karty kredytowej, numeru karty debetowej czy po prostu numeru karty bankowej – w każdym przypadku chodzi o ten sam rodzaj numeru (w terminologii bankowej PAN, Primary Account Number). To nie jest numer konta: numer rachunku (w Polsce 26 cyfr) jest zupełnie inny i na karcie go nie ma.
Jak sprawdzić numer karty w aplikacji banku?
W większości aplikacji wchodzisz w Karty → wybierasz kartę → Szczegóły albo Pokaż dane karty. Aplikacja zwykle prosi o ponowne potwierdzenie (PIN do aplikacji, odcisk palca, twarz) i pokazuje pełny numer, datę ważności i CVV. Tak samo sprawdzisz dane karty wirtualnej, która w ogóle nie ma postaci plastiku.
Jakie dane znajdują się na karcie płatniczej?
| Element | Gdzie jest | Do czego służy |
|---|---|---|
| Numer karty (PAN) | przód lub rewers, aplikacja | identyfikuje kartę w każdej transakcji |
| Data ważności (MM/RR) | przy numerze karty | podawana przy płatnościach w internecie; po niej karta przestaje działać |
| Imię i nazwisko | przód lub rewers | część sklepów internetowych prosi o nie przy płatności |
| CVV2 / CVC2 | rewers, obok paska do podpisu (Amex: 4 cyfry na przodzie) | kod do płatności bez fizycznej karty (internet, telefon) |
| Chip i antena NFC | chip na przodzie, antena wewnątrz karty | płatności stykowe i zbliżeniowe |
| Logo Visa / Mastercard | przód lub rewers | informuje, gdzie karta jest akceptowana |
Czego na karcie nie ma: PIN-u (zna go tylko właściciel) ani numeru konta.
Co oznacza numer karty?
Numer karty nie jest losowy. Pierwsza cyfra wskazuje organizację: 4 to Visa, 51–55 i 2221–2720 to Mastercard, 34 i 37 – American Express (15 cyfr zamiast 16). Pierwsze cyfry (6–8) to numer wydawcy (BIN/IIN), czyli konkretny bank i rodzaj karty. Ostatnia cyfra jest kontrolna, liczona algorytmem Luhna – dzięki niej sklep od razu wykrywa literówkę w numerze. Dlatego jedna zasłonięta cyfra niewiele chroni: da się ją odgadnąć w kilka chwil.
Na paragonie z terminala pełnego numeru nie ma – standard bezpieczeństwa branży kart (PCI DSS) pozwala pokazać najwyżej początek numeru (BIN) i ostatnie 4 cyfry, a zwykle widać tylko te ostatnie cztery.
Jak odczytałem dane karty w kolejce
Stałem w aptece po leki dla córki. Kobieta przede mną trzymała kartę w dłoni tak, że numer, imię i nazwisko oraz data ważności były doskonale widoczne. Zrobiłem kilka zdjęć telefonem – jedna cyfra była zasłonięta palcem. Po chwili odwróciła kartę i mogłem przeczytać kod CVV z rewersu, już bez zdjęcia. Całość trwała 10–20 sekund.
Zdjęcie tytułowe pochodzi z tamtej sytuacji. Dane karty nie zostały nigdy użyte do żadnej transakcji – chodziło wyłącznie o pokazanie, jak niewiele trzeba.
Podobnych scen widziałem później wiele: karta kładziona na terminalu na kilka sekund tak, że wszystko widać z boku, dziewczyna w warszawskim metrze wymachująca kartą debetową. Do odczytania takich danych nie trzeba żadnego sprzętu – wystarczy telefon i odrobina cierpliwości.
Z upływem czasu dużo się nie zmieniło (wpis publikowany w 2018 roku, a jest już 2026). Cały czas widzę osoby płacące kartą, które wymachują nią dookoła. Sam płacę głównie telefonem, ale zawsze staram się mieć trochę gotówki przy sobie – gdyby terminal odmówił współpracy. Kilka razy miała już taka sytuacja.
Co da się odczytać z karty zbliżeniowo, a czego nie?
Karta zbliżeniowa odpowiada każdemu czytnikowi NFC, który znajdzie się kilka centymetrów od niej. Taki czytnik – nawet aplikacja w telefonie – odczyta numer karty i datę ważności. Starsze karty podawały też imię i nazwisko, nowsze zwykle już nie.
| Dane | Odczyt zbliżeniowy |
|---|---|
| Numer karty | tak |
| Data ważności | tak |
| Imię i nazwisko | zależy od karty, w nowszych zwykle nie |
| CVV2 / CVC2 z rewersu | nie – nie ma go w chipie ani na pasku magnetycznym |
| PIN | nie |
Ważniejsze jest co innego: przy każdej płatności chip podpisuje transakcję jednorazowym kryptogramem i dynamicznym kodem, których nie da się skopiować. Odczytanych zbliżeniowo danych nie da się więc „nagrać” na inną kartę i zapłacić nimi w sklepie. Paradoksalnie zdjęcie karty zrobione w kolejce jest groźniejsze niż odczyt NFC, bo obejmuje też CVV.
Limit płatności zbliżeniowych bez PIN
W Polsce płatność zbliżeniowa bez PIN-u działa do 100 zł (do 2020 roku limit wynosił 50 zł). Do tego unijne przepisy o silnym uwierzytelnianiu (PSD2) każą bankowi co jakiś czas poprosić o PIN: najpóźniej po 5 kolejnych płatnościach zbliżeniowych albo po przekroczeniu łącznie 150 euro od ostatniego uwierzytelnienia (bank wybiera jeden z tych progów). Złodziej, który ukradnie fizyczną kartę, zrobi więc kilka drobnych zakupów, ale nie opróżni konta.
Czy numer karty z CVV wystarczy do zakupów?
W 2018 roku pisałem, że takimi danymi da się bez problemu zapłacić w internecie. Dziś w Europie jest trudniej: od 2021 roku płatność kartą w sklepie internetowym w Unii wymaga zwykle potwierdzenia w aplikacji banku albo kodem SMS (3-D Secure). Nie jest to jednak pełna ochrona – sklepy spoza Europy, część subskrypcji i transakcje telefoniczne potrafią przejść bez dodatkowego potwierdzenia, a sprzedawca nie musi nawet wymagać CVV. Dlatego danych karty trzeba pilnować tak samo jak kiedyś.
Prośba o kod z SMS-a albo potwierdzenie w aplikacji, którego się nie spodziewasz, to sygnał alarmowy. Tak samo telefon „z banku” z prośbą o dane karty – to klasyczny vishing, czyli oszustwo przez telefon.
Gdzie zapisana jest moja karta?
To pytanie zadaje sobie każdy, kto po wymianie karty dostaje informację o nieudanej płatności za subskrypcję albo chce usunąć kartę z serwisów, z których już nie korzysta. Karta zapisuje się najczęściej w trzech miejscach:
- Portfele w telefonie – Google Wallet (lista kart jest też na koncie Google, w sekcji płatności) i Apple Wallet.
- Przeglądarka – Chrome, Safari, Edge i Firefox mają autouzupełnianie kart w ustawieniach (zwykle w sekcji „Płatności” albo „Autouzupełnianie”).
- Sklepy i subskrypcje – serwisy aukcyjne, platformy streamingowe, sklepy z grami, aplikacje do zamawiania jedzenia i przejazdów.
Jeśli nie pamiętasz, gdzie podałeś numer karty, przejrzyj w aplikacji banku historię transakcji z ostatniego roku – każda płatność cykliczna ma tam nazwę sprzedawcy. Część banków pokazuje też listę urządzeń i sklepów, w których karta jest zapisana, z możliwością jej odpięcia.
W aplikacji mobilnej Erste jest taka opcja w Więcej (menu trzech kropek w prawym dolnym rogu) > Zarządzanie finansami > Subskrypcje znajdziecie miejsca w których jest podpięta nasza karta płatnicza.
Jak chronić dane karty płatniczej?
- Nie pokazuj karty, zwłaszcza rewersu. Wyjmuj ją dopiero przy terminalu i zasłaniaj dłonią. Zaklejenie CVV, które radziłem w 2018 roku, chroni najwyżej przed podejrzeniem – lepiej po prostu nie pokazywać tej strony karty.
- Płać telefonem lub zegarkiem. Apple Pay i Google Pay nie przekazują sprzedawcy prawdziwego numeru karty, tylko numer przypisany do urządzenia (token), a każda płatność ma jednorazowy kod. Wyciek takiego tokenu ze sklepu jest dużo mniej groźny niż wyciek numeru karty. Więcej w poradniku jak płacić telefonem i zegarkiem.
- Etui RFID nie jest konieczne. Chroni przed odczytem NFC, ale ten – jak wyżej – daje złodziejowi niewiele. Nie zaszkodzi, ale ważniejsze są pozostałe punkty.
- Włącz powiadomienia o każdej transakcji i ustaw w aplikacji limity: osobno dla płatności w internecie, zbliżeniowych i wypłat. Płatności internetowe można wyłączyć na karcie fizycznej i używać do nich karty wirtualnej.
- Zastrzeż kartę od razu po utracie – w aplikacji banku albo pod numerem +48 828 828 828 (system Zastrzegam, działa całą dobę). Za nieautoryzowane transakcje sprzed zgłoszenia odpowiadasz najwyżej do równowartości 50 euro (chyba że doszło do rażącego niedbalstwa), a za te po zgłoszeniu – wcale.
Więcej zasad znajdziesz we wpisie jak płacić kartą bezpiecznie, a o tym, dlaczego nawet ostrożni dają się oszukać – w tekście o tym, że 7 na 10 osób wierzy, że rozpozna oszustwo w sieci.
